Политика в отношении обработки персональных данных АО «Промышленные активы»

1. Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• Персональные данные, разрешенные субъектом для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку в порядке, предусмотренном Федеральным законом;
• Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) в результате которых уничтожаются материальные носители персональных данных;
• Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2. Цели, категории и основания обработки персональных данных

Оператор может обрабатывать персональные данные исключительно в целях, для которых они были собраны или получены. В частности, Оператор может обрабатывать персональные данные для достижения целей, указанных в Приложении № 1. Персональные данные могут обрабатываться Оператором также в иных целях, установленных утвержденным Перечнем персональных данных, обрабатываемых Оператором (далее – «Перечень персональных данных»).

В Перечне персональных данных для каждой цели обработки в т.ч. определены:

1. категории Субъектов, чьи персональные данные обрабатываются Оператором;
2. перечень категорий обрабатываемых персональных данных;
3. правовые основания обработки персональных данных;
4. сроки обработки (хранения) персональных данных;
5. порядок уничтожения персональных данных.

Перечень персональных данных подлежит пересмотру лицом, ответственным за организацию обработки персональных данных у Оператора, не реже одного раза в год, а также по мере необходимости при изменении процессов обработки персональных данных.

Оператор вправе собирать, вносить персональные данные в информационные системы, хранить и обрабатывать любыми не противоречащими законодательству способами как с использованием средств автоматизации, так и без таковых. По достижении целей обработки или в случае утраты необходимости в их достижении обрабатываемые персональные данные подлежат уничтожению.

Оператор не обрабатывает биометрические данные, а также сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни Субъектов персональных данных. Оператор не размещает персональные данные в общедоступных источниках и не распространяет персональные данные без согласия Субъекта или соответствующих требований законодательства.

Обработка персональных данных осуществляется Оператором на следующих законных основаниях:

1. заключения и исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных;
2. с согласия Субъекта персональных данных, предоставляемого при заполнении на бумажном носителе или с использованием веб-форм или в ином виде;
3. для выполнения функций и обязанностей, возложенных на Оператора применимым законодательством;
4. для осуществления прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы Субъекта персональных данных.

3. Принципы обработки персональных данных

При обработке персональных данных Субъектов Оператор руководствуется Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Оператор обрабатывает персональные данные на основании следующих принципов:

1. обработка персональных данных осуществляется на законной и справедливой основе;
2. обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
3. не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
4. не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. Обработке подлежат только персональные данные, которые отвечают целям их обработки;
5. содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки;
6. при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях — актуальность по отношению к целям обработки;
7. хранение персональных данных осуществляется в форме, позволяющей определить Субъекта, не дольше, чем того требуют цели обработки персональных данных, если срок хранения не установлен федеральным законом, согласием на обработку или договором;
8. обрабатываемые персональные данные уничтожаются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;
9. обработка персональных данных не используется в целях причинения имущественного и/или морального вреда Субъектам персональных данных, затруднения реализации их прав и свобод.

4. Условия обработки персональных данных

Обработка персональных данных осуществляется Оператором в соответствии с настоящей Политикой, внутренними актами Оператора, а также законодательством Российской Федерации.

Обработка персональных данных осуществляется Оператором, а также иными третьими лицами, которые привлекаются Оператором к обработке или которым передаются персональные данные в соответствии с законодательством Российской Федерации. К числу подобных третьих лиц, в частности, могут относиться:

1. юридические лица, входящие в одну группу лиц с Акционерным обществом «Промышленные активы», согласно ст.9 Федерального закона от 26.07.2006 № 135-ФЗ «О защите конкуренции» в целях обеспечения внутригруппового взаимодействия и корпоративного управления;
2. контрагенты Оператора, оказывающие услуги поддержки используемых информационных систем (CDP платформа Mindbox, CMS 1С-Битрикс и др.), хостинга, организации пропускного режима, юридические, аудиторские и иные услуги;
3. контрагенты Оператора, оказывающие услуги хранения, хостинга сайтов и поддержки используемых информационных систем;
4. государственные/муниципальные органы власти в случаях, установленных законодательством.

Оператор имеет право привлекать третьих лиц к обработке полученных персональных данных и/или передавать им полученные данные без дополнительного согласия Субъекта при условии обеспечения указанными третьими лицами конфиденциальности и безопасности персональных данных.

Обработка персональных данных третьим лицом может осуществляться только на основании договора, в котором определены перечень действий (операций) с персональными данными и цели обработки, положения по обеспечению безопасности персональных данных.

У Оператора запрещено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении Субъекта или иным образом затрагивающих его права и законные интересы. Оператор не размещает персональные данные в общедоступных источниках без письменного согласия Субъекта.

5. Меры по обеспечению безопасности персональных данных

Оператор обязуется принимать необходимые правовые, организационные и технические меры для защиты получаемых персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, иных неправомерных действий. К мерам обеспечения безопасности персональных данных у Оператора относятся, в том числе, следующие:

1. учет обрабатываемых категорий и перечня персональных данных, категорий Субъектов, сроков хранения и порядка уничтожения таких персональных данных;
2. учет мест хранения персональных данных и информационных систем Оператора;
3. определение необходимого уровня защищенности персональных данных, обрабатываемых в информационных системах;
4. определение угроз безопасности персональных данных при их обработке в информационных системах;
5. определение и внедрение технических и организационных мер защиты персональных данных перед введением новых процессов обработки;
6. осуществление и документирование оценки вреда, который может быть причинен Субъектам персональных данных в случае нарушения Закона о персональных данных;
7. установление правил доступа к персональным данным, обрабатываемым в информационных системах, регистрация и учет действий с персональными данными;
8. применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
9. обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по ликвидации последствий;
10. восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
11. учет должностей работников Оператора, которым необходим доступ к персональным данным для выполнения служебных обязанностей;
12. ознакомление работников Оператора с положениями законодательства Российской Федерации о персональных данных, обучение работников;
13. контроль и оценка эффективности применяемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы;
14. осуществление регулярного внутреннего контроля и аудита соответствия обработки и обеспечения безопасности персональных данных действующему законодательству Российской Федерации.

У Оператора назначены лица, ответственные за организацию обработки и обеспечение безопасности персональных данных. Во внутренних документах и соответствующих соглашениях с партнерами и контрагентами определяются процедуры: предоставления доступа к информации; внесения изменений в персональные данные; уничтожения либо блокирования персональных данных; обработки обращений Субъектов персональных данных; обработки запросов уполномоченного органа; получения согласия Субъектов; передачи персональных данных третьим лицам; работы с материальными носителями персональных данных; уведомления уполномоченного органа по защите прав Субъектов в установленные сроки.

При сборе персональных данных Оператор обеспечивает их обработку с использованием баз данных, находящихся на территории Российской Федерации.

6. Использование cookie-файлов и иных средств веб-аналитики

Cookie — это небольшие файлы, которые создаются и сохраняются браузером при посещении веб-сайтов Оператора. Cookie-файлы хранятся на устройстве не более 13 месяцев и позволяют отслеживать качество работы веб-сайта и характеристики его использования, а также оптимизировать маркетинговые активности в Интернете.

Посещение и использование веб-сайтов по умолчанию предусматривает генерацию и сохранение cookie-файлов. Однако Субъект в любой момент может удалить cookie-файлы с устройства через настройки используемого браузера. Субъект также может отказаться от принятия cookie-файлов, однако при этом не гарантирована работа всех функций веб-сайтов.

На веб-сайте Оператора используются следующие виды средств веб-аналитики:

7. Права Субъектов персональных данных и контакты по вопросам обработки персональных данных

При обработке персональных данных Субъекты вправе:

1. запросить информацию, касающуюся обработки персональных данных Субъектов;
2. потребовать уточнения, уничтожения или блокирования персональных данных, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
3. отозвать предоставленные Оператору согласия на обработку персональных данных;
4. обжаловать действия Оператора в административном или судебном порядке.

В случае возникновения любых вопросов и обращений касательно обработки персональных данных, в том числе для отзыва согласий на обработку персональных данных, Субъекты могут обратиться:

• По электронной почте: info@btkcompany.ru
• По адресу: 188640, Ленинградская область, Всеволожский р-н, г. Всеволожск, ул. Ленинградская, 14/1, помещ.41

Оператор отвечает на запросы Субъектов в сроки, установленные законодательством РФ. В случае необходимости установления дополнительной информации Оператор вправе продлить срок ответа на запрос Субъекта на срок до 5 рабочих дней при условии направления Субъекту мотивированного уведомления о причинах продления срока.